Vier Monate nach ihrem endgültigen Inkrafttreten ist klar: erst ein Viertel aller deutschen Firmen setzen die DSGVO wirklich um. Was sind die Ursachen für teilweise gravierende Widersprüche und die fehlende Umsetzung bei den angenommenen anderen drei Vierteln?
Laut FAZ gibt es große Unsicherheit. Frau Thiel, Datenschutzbeauftragte für Niedersachsen, wird folgendermaßen zitiert: “Wir als Aufsichtsbehörden müssen die Rechtsbegriffe erstmal praktisch handhabbar machen.” Die International Association of Privacy Professionals stellte hingegen schon vor gut 2 Jahren fest:
Es ist deutlich zu erkennen, dass einerseits seitens fachlich Kundiger und Branchenverbänden immer mal wieder ein erhöhter Bedarf an Datenschützern prognostiziert wird. Andererseits spiegeln sich (derzeit) diese Prognosen (noch) nicht am Markt wider.
Inzwischen wird in Deutschland über Änderungen, besonders über die Entlastung kleinerer Organisationen, Vereine und Betriebe in Sachen Datenschutzbeauftragter und Dokumentationspflichten nachgedacht, da ohnehin immer noch ein Streitpunkt ist, dass durch die Dokumentationspflichten eventuell mehr Daten von Betroffenen gesammelt werden als ohne (z. B. Zeitpunkte von An- und Abmeldung bei bestimmten Diensten):
Sicherlich hoffen immer noch viele, dass der anfängliche Wirbel um die DSGVO wieder in Vergessenheit gerät. Bei anderen gibt es immer noch Unsicherheiten, was überhaupt zu tun ist. Wiederum gibt es auch viele, die sich wirklich keinerlei Gedanken um notwendige und bereits eingetretene gesetzliche Änderungen des europäischen Datenschutzes machen. Es lohnt sich den Umgang mit personenbezogenen Daten zu überdenken. Das gilt auch vor dem Hintergrund, dass vielleicht angesichts der Überlastung der Datenschutzbehörden nicht unmittelbar Sanktionen für eine ausbleibende Umsetzung zu befürchten sind. Klar ist: Änderungen sind notwendig. Wir müssen den Umgang mit personenbezogenen Daten grundlegend überdenken. Hier wird sogar grundsätzlich kein Unterschied mehr zwischen Behörden und Firmen gemacht. Unklar ist zwar für viele immer noch, wie das genau passieren soll und oft wird die Wirksamkeit geforderter Maßnahmen bezweifelt, doch daran, dass sich etwas geändert hat, sollte kein Zweifel mehr bestehen.
Update: Tatsächlich hat der Bundestag am 28.06. zur Entlastung kleinerer Unternehmen beschlossen, dass ein DSB erst ab einer Anzahl von 20 Mitarbeitern, die hauptsächlich mit der Verarbeitung personenbezogener Daten befasst sind, bestellt werden muss. Das mag sich zwar für nicht wenige gut anhören, doch es täuscht darüber hinweg, dass fast keine der bestehenden Unsicherheiten geklärt werden und die Anforderungen an den Datenschutz auch für Unternehmen ohne DSB weiterhin gestiegen sind.